Изтеглете статиите си.
Публикувайте ги по Вашия начин.

Всяка заявка

Authorization: Bearer sns_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Accept: application/json

Проверете, че работи

curl https://seonis.ai/api/v1/me \
  -H "Authorization: Bearer $SEONIS_API_KEY"

{
  "organisation": { "id": 12, "name": "Peppervale", "country": "GB" },
  "key": {
    "name": "Production build",
    "prefix": "sns_live_ab",
    "created_at": "2026-09-06T09:12:44+00:00",
    "last_used_at": "2026-09-06T09:31:02+00:00"
  },
  "sites": 2
}

Ограничение на заявките

120 заявки в минута, броени спрямо ключа, а не спрямо адреса, от който идват, защото изпълнителите на компилации споделят адреси. Над това получавате 429 със стандартните заглавки Retry-After и X-RateLimit. Изтеглянето на статии за компилация е няколко заявки, така че това не е ограничение, което би трябвало да достигнете случайно.

Не дръжте ключа в хранилището си

Той чете всичко, което сме написали за Вашия акаунт, включително статии, които още не са публикувани. Поставете го във Вашата среда за компилация, не в изходния код. Отменете го тук веднага щом се озове някъде, където не трябва, и всичко, което го използва, веднага ще получи 401.

Можете да използвате API, без да го свързвате: крайните точки работят за всеки акаунт с ключ. Свързването му е начинът, по който останалата част от продукта разбира, че трябва да спре да очаква собствен адрес, и това спира статия, която публикувате сами, да се отчита като неуспех.

webhook-id: 7c1e2f0a-3b5d-4e8f-9a61-2d4c8b0e5f13
webhook-timestamp: 1790490600
webhook-signature: v1,s0RzLJ1d7Cxd9nwe8pqER9DWy/stEIB+uT9MlGVLlM0=

Header	Какво е това
webhook-id	Изпращането, същата стойност като delivery_id в тялото. Запомняйте кои сте обработили и отговаряйте на повторение с 200, без да вършите работата отново.
webhook-timestamp	Кога сме го подписали, в цели секунди от 1970 г. Отхвърляйте всичко, което се разминава с повече от пет минути с Вашия часовник, за да не може старо изпращане да Ви бъде изпратено отново.
webhook-signature	v1, след това base64 HMAC-SHA256 на id, времевия печат и суровото тяло, съединени с точки, направен с Вашия ключ за подписване. Може да има повече от един, разделени с интервали. Приемете изпращането, ако който и да е от тях съвпада.

Ключът за подписване

Започва с whsec_. Махнете това и декодирайте останалото с base64: тези байтове са HMAC ключът, а не текстът, който сте копирали. Показва се само веднъж, когато свържете webhook-а или натиснете "New signing key" на страницата за публикуване, и ние никога не го изпращаме.

Проверете суровото тяло

Изчислете подписа от байтовете точно както са пристигнали, преди нещо да ги обработи. JSON, който е декодиран и кодиран отново, не е същите байтове и подписът му няма да съвпадне.

PHP

<?php
$raw = getenv('SEONIS_SIGNING_KEY'); // whsec_...

// No key, no deliveries. A missing or empty variable would otherwise become
// an empty HMAC key, and anybody can sign with that.
$secret = is_string($raw) && str_starts_with($raw, 'whsec_')
    ? base64_decode(substr($raw, strlen('whsec_')), true)
    : false;

if ($secret === false || strlen($secret) < 24) {
    http_response_code(500);
    exit('Signing key not configured.');
}

$id        = $_SERVER['HTTP_WEBHOOK_ID'] ?? '';
$timestamp = $_SERVER['HTTP_WEBHOOK_TIMESTAMP'] ?? '';
$header    = $_SERVER['HTTP_WEBHOOK_SIGNATURE'] ?? '';
$body      = file_get_contents('php://input');

if (! ctype_digit($timestamp) || abs(time() - (int) $timestamp) > 300) {
    http_response_code(401);
    exit('Too old.');
}

$expected = base64_encode(hash_hmac('sha256', "$id.$timestamp.$body", $secret, true));

$valid = false;
foreach (explode(' ', $header) as $signature) {
    [$version, $value] = array_pad(explode(',', $signature, 2), 2, '');
    $valid = $valid || ($version === 'v1' && hash_equals($expected, $value));
}

if (! $valid) {
    http_response_code(401);
    exit('Bad signature.');
}

$delivery = json_decode($body, true);

Node.js

import crypto from 'node:crypto';
import express from 'express';

const app = express();

// No key, no server. An empty variable would otherwise become an empty HMAC
// key, and anybody can sign with that.
const raw = process.env.SEONIS_SIGNING_KEY ?? '';
if (!raw.startsWith('whsec_')) throw new Error('SEONIS_SIGNING_KEY is not set.');
const key = Buffer.from(raw.slice('whsec_'.length), 'base64');
if (key.length < 24) throw new Error('SEONIS_SIGNING_KEY is not a valid key.');

// express.raw keeps the body as the bytes we signed.
app.post('/hooks/seonis', express.raw({ type: 'application/json' }), (req, res) => {
  const id = req.get('webhook-id') ?? '';
  const timestamp = req.get('webhook-timestamp') ?? '';
  const header = req.get('webhook-signature') ?? '';

  if (!/^\d+$/.test(timestamp) || Math.abs(Date.now() / 1000 - Number(timestamp)) > 300) {
    return res.status(401).send('Too old.');
  }

  const expected = crypto.createHmac('sha256', key)
    .update(`${id}.${timestamp}.`)
    .update(req.body)
    .digest();

  const valid = header.split(' ').some((signature) => {
    const [version, value = ''] = signature.split(',');
    const given = Buffer.from(value, 'base64');
    return version === 'v1' && given.length === expected.length && crypto.timingSafeEqual(given, expected);
  });

  if (!valid) return res.status(401).send('Bad signature.');

  const delivery = JSON.parse(req.body);
  res.json({ ok: true });
});

Или използвайте библиотека

Официалните библиотеки на Standard Webhooks за PHP, JavaScript, Python, Go, Ruby и други правят всичко това с едно извикване. Подайте им ключа за подписване точно както Ви е показан, включително whsec_. github.com/standard-webhooks

По-старите header-и

Изпращанията съдържат и тайната за подписване като bearer token, както и X-AutoSEO-LT-Signature, HMAC само на тялото, направен с тази тайна. Те все още се изпращат, за да продължат да работят endpoint-ите, изградени върху тях. Нов endpoint трябва вместо това да проверява webhook-signature: старият подпис не включва време и id, а ключът му се изпраща във всяка заявка.

Форматите AutoSEO, Outrank и BabyLoveGrowth изпращат точно това, което са изпратили тези услуги, затова не съдържат тези header-и.